搜索

[13657] 2019-01-16_Jira错误配置问题导致NASA内部敏感信息泄露

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-01-16_Jira错误配置问题导致NASA内部敏感信息泄露 J i r a 错 误 配 置 问 题 导 致 N A S A 内 部 敏 感 信 息 泄 露 c l o u d s   F r e e B u f   2 0 1 9 - 0 1 - 1 6 大 家 好 ， 今 天 在 这 大 家 好 ， 今 天 在 这 分 享 两 个 关 于 分 享 两 个 关 于 N A S A 网 站 网 站 J I R A 应 用 的 漏 洞 ， 漏 洞 在 于 应 用 的 漏 洞 ， 漏 洞 在 于 J I R A 的 错 误 配 置 ， 最 终 导 致 了 的 错 误 配 置 ， 最 终 导 致 了 N A S A 大 量 内 部 敏 感 信 息 大 量 内 部 敏 感 信 息 泄 露 ， 这 些 信 息 包 括 了 泄 露 ， 这 些 信 息 包 括 了 N A S A 内 网 的 账 户 详 情 、 项 目 情 况 、 员 工 姓 名 、 员 工 邮 件 和 内 网 的 账 户 详 情 、 项 目 情 况 、 员 工 姓 名 、 员 工 邮 件 和 I D 等 等 ， 非 常 严 重 。 等 等 ， 非 常 严 重 。 J i r a 的 错 误 配 置 问 题 的 错 误 配 置 问 题 J I R A   是 一 个 缺 陷 跟 踪 管 理 系 统 ， 为 针 对 缺 陷 管 理 、 任 务 追 踪 和 项 目 管 理 的 商 业 性 应 用 软 件 ， 开 发 者 公 司 为 澳 大 利 亚 的 A t l a s s i a n 。 对 于 公 司 和 企 业 来 说 ， 内 部 信 息 的 保 密 至 关 重 要 ， 如 何 保 证 这 些 信 息 只 对 特 定 组 织 内 外 的 人 开 放 ， 极 为 关 键 。 换 句 话 说 ， 通 过 这 些 数 据 的 安 全 性 、 完 整 性 和 可 用 性 ， 公 司 可 以 在 发 展 计 划 、 调 查 结 果 、 人 才 就 业 等 方 面 保 持 竞 争 优 势 。 J i r a 应 用 中 有 一 些 设 置 ， 如 果 配 置 不 当 ， 可 能 会 泄 露 有 关 应 用 程 序 和 用 户 的 相 关 信 息 ， 并 且 可 以 向 任 何 互 联 网 用 户 ， 开 放 对 公 司 内 部 数 据 的 未 授 权 访 问 权 限 。 攻 击 者 利 用 这 种 手 段 ， 可 以 获 得 对 J i r a 应 用 的 一 定 访 问 控 制 权 限 ， 形 成 进 一 步 内 网 渗 透 的 基 础 。 在 J i r a 中 ， 在 创 建 过 滤 器 （ f i l t e r s ） 或 显 示 面 板 （   d a s h b o a r d s ） 时 ， 它 提 供 了 一 些 可 见 选 项 来 进 行 设 置 。 问 题 是 ， 由 于 分 配 给 这 些 选 项 的 权 限 存 在 错 误 的 误 解 ， 当 过 滤 器 或 显 示 面 板 分 别 设 置 为 “ 所 有 用 户 ” （ A l l   u s e r s ） 和 “ 所 有 人 ” （ E v e r y o n e ） 时 ， 这 代 表 的 并 不 是 与 组 织 机 构 内 部 的 每 个 人 共 享 ， 而 是 一 种 互 联 网 全 网 的 公 开 共 享 。 J i r a 中 还 有 一 个 用 户 挑 选 功 能 （ u s e r   p i c k e r   f u n c t i o n a l i t y ） ， 它 提 供 了 针 对 每 个 用 户 的 用 户 名 和 电 子 邮 件 地 址 的 完 整 列 表 信 息 。 所 以 ， 这 两 种 功 能 组 合 的 结 果 ， 就 会 形 成 错 误 的 授 权 配 置 ， 从 而 导 致 组 织 机 构 内 部 的 用 户 信 息 泄 露 。 会 泄 露 的 信 息 包 括 以 下 ： 所 有 注 册 员 工 账 户 的 姓 名 和 邮 箱 地 址 ； 注 册 员 工 在 J i r a 应 用 中 的 角 色 名 称 ； J i r a 的 当 前 项 目 ， 以 及 通 过 过 滤 器 （ f i l t e r s ） 或 显 示 面 板 创 建 的 里 程 碑 设 置 信 息 。 J i r a 错 误 配 置 错 误 配 置 导 致 导 致 N A S A   员 工 信 息 泄 露 员 工 信 息 泄 露
基 于 以 上 技 术 理 解 ， 我 发 现 ， 在 应 用 了 J i r a 的 N A S A 某 官 网 中 ， 存 在 J i r a 错 误 配 置 漏 洞 ， 利 用 该 漏 洞 ， 通 过 用 户 挑 选 功 能 ， 榀 以 获 取 到 所 有 N A S A 员 工 姓 名 和 邮 箱 地 址 列 表 信 息 。 如 下 ： 从 上 图 可 以 看 到 ， 由 于 前 述 的 J i r a 错 误 配 置 ， 导 致 1 0 0 0 多 人 的 N A S A 员 工 信 息 存 在 泄 露 风 险 。 通 过 对 过 滤 器 （ 通 过 对 过 滤 器 （ F i l t e r s ） 的 管 理 获 取 相 关 信 息 ） 的 管 理 获 取 相 关 信 息 这 个 漏 洞 不 像 上 面 那 个 严 重 ， 但 它 也 类 似 于 上 述 的 可 浏 览 用 户 信 息 的 泄 露 问 题 ， 根 本 原 因 在 于 ， N A S A 网 站 的 J i r a 应 用 中 也 存 在 一 个 与 过 滤 器 设 置 相 关 的 错 误 配 置 漏 洞 。 J i r a 过 滤 器 用 于 列 出 应 用 中 分 类 的 问 题 和 项 目 的 相 关 任 务 ， 它 还 可 列 出 “ 拥 有 ” 这 些 过 滤 器 权 限 的 用 户 名 ， 这 不 同 可 浏 览 用 户 信 息 问 题 ， 但 却 能 收 集 一 些 用 户 名 格 式 相 关 的 有 用 信 息 。 此 外 ， 攻 击 者 可 借 此 知 道 应 用 中 包 含 的 详 细 信 息 ， 以 及 项 目 团 队 的 处 理 任 务 ， 以 及 一 些 项 目 任 务 的 特 性 。 如 下 ：
以 上 就 是 我 通 过 利 用 J i r a 的 错 误 配 置 漏 洞 问 题 （ 问 题 ） ， 访 问 获 取 到 N A S A 内 部 的 大 量 敏 感 信 息 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 9 . 3             向 N A S A 和 美 国 C E R T 安 全 团 队 上 报 漏 洞 2 0 1 8 . 9 . 2 5         漏 洞 已 修 复 2 0 1 8 . 1 0 . 1 7       获 得 美 国 C E R T 方 面 的 感 谢 2 0 1 8 . 1 1 . 9           告 知 N A S A 和 美 国 C E R T 方 面 对 该 漏 洞 的 披 露 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理